Il 28 gennaio 1981 il Consiglio d’Europa aprì alla firma la Convenzione per la protezione delle persone rispetto al trattamento automatizzato dei dati personali (più comunemente nota come “Convenzione 108”) [[1]].
A memoria dell’evento, la giornata del 28 gennaio di ogni anno è stata dedicata dal Consiglio d’Europa alla protezione dei dati personali ed è riconosciuta non solo nei paesi del Consiglio d’Europa[2] ma anche negli Stati Uniti, in Canada e in Israele allo scopo di sensibilizzare e promuovere l’importanza della privacy e della protezione dei dati.
La Convenzione è stata ora aggiornata ma per poter entrare in vigore e avere uno strumento unico e giuridicamente vincolante aggiornato a livello internazionale per garantire la protezione dei dati personali, dovrà essere ratificata da almeno 38 Paesi entro l’11 ottobre 2023.
I cittadini europei a rischio sorveglianza americana: tempo di nuove tutele
La Convenzione 108
Se i diritti alla riservatezza e alla protezione dei dati personali sono garantiti dall’art. 8 della Convenzione Europea dei Diritti dell’Uomo (CEDU) le modalità e gli strumenti di questa tutela sono stabiliti dalla Convenzione 108. Questa, con il suo approccio basato sui principi, il suo schema trasponibile e facilmente adattabile alle varie legislazioni nazionali, la sua vocazione globale aperta alla ratifica di paesi anche non appartenenti al Consiglio d’Europa, si è imposta come uno strumento fondamentale per creare le condizioni necessarie per una società digitale basata sulla fiducia e sul rispetto della dignità umana e dei diritti umani per tutti ed ha ispirato la Direttiva europea 95/46/Ue e quindi lo stesso Regolamento 2016/679 cd. GDPR e la Direttiva 2016/680 “Police and Justice”.
La Convenzione 108 è stata ratificata da 55 Stati (di cui 9 extra CoE) e il suo Comitato accoglie con favore anche la partecipazione di 36 osservatori, formando un forum globale di oltre 90 paesi[3] che lavorano insieme sul diritto alla protezione dei dati. L’articolo 18 della Convenzione prevede infatti un Comitato che è tenuto a occuparsi della protezione dei dati (T-PD) ed ha il compito di interpretarne le disposizioni e di assicurarne l’effettiva applicazione, anche suggerendo modifiche e adeguamenti e attraverso l’adozione di progetti di raccomandazione (da sottoporre al Comitato dei Ministri) e di linee-guida settoriali.
È evidente che le regole adottate nel 1981 a protezione delle persone rispetto al trattamento dei dati personali sono riportate all’ambiente tecnologico in cui è stato elaborato, cioè in un momento in cui non c’erano Internet, social network, big data, oggetti connessi o geolocalizzazione.
Il processo di modernizzazione della Convenzione 108
Il processo di modernizzazione della Convenzione 108 è stato lungo e laborioso ed è durato 7 anni: il Protocollo n. 223[[4]] che modifica la Convenzione 108 è stato aperto alla firma il 10 ottobre 2018 a Strasburgo dando vita alla “Convenzione 108+”, come viene chiamata la versione modernizzata della 108.
Nella versione modernizzata sono stati lasciati intatti gli obiettivi e le caratteristiche mentre le sue disposizioni sono state modernizzate in piena sinergia con altri quadri normativi in materia di protezione dei dati tra cui quello dell’UE e in articolare con il GDPR per consentire pienamente di rispondere alle molteplici sfide poste dal nuovo contesto tecnologico.
Tra i principi e le disposizioni della Convenzione 108+, ritroviamo quindi necessità, proporzionalità, limitazione delle finalità applicabili dagli anni ’80, insieme ad alcune nuove disposizioni come maggiore trasparenza, principio di responsabilità, nuova generazione di diritti riconosciuti all’interessato, una maggiore attenzione agli aspetti di sicurezza e più forti autorità di vigilanza.
La Convenzione 108 e la libera circolazione dei dati tra gli Stati
Aspetto che rende unica la Convenzione 108 è che questa non solo tende a garantire un adeguato livello di protezione per le persone ma anche a facilitare la libera circolazione dei dati tra gli Stati.
Proprio in relazione ai trasferimenti di dati transfrontalieri, ciò che merita attenzione è l’approccio dualistico dell’art 14 della 108+, che da un lato potrebbe portare alla creazione di uno spazio giuridico comune in cui i dati possano circolare liberamente tra gli Stati Parti della Convenzione e dall’altro prevedere lo sviluppo e l’implementazione di strumenti che possono diventare uno standard globale facilmente e fruttuosamente utilizzato in qualsiasi parte del mondo per garantire il livello di protezione appropriato anche nel caso di “esportazioni di dati” da Stati Parti a Stati non Parti.
Per raggiungere questo obiettivo e assicurare credibilità ed effettivo rispetto dei suoi principi, la Convenzione modernizzata introduce uno specifico meccanismo di monitoraggio affidato al futuro comitato convenzionale: da una parte la valutazione della congruenza delle normative dei Paesi candidati all’accessione alla 108+ con i principi della stessa Convenzione e dall’altra il periodico riesame della persistenza di tale compliance per le Parti.
Le recenti decisioni della Corte di giustizia dell’UE che hanno invalidato accordi di trasferimento internazionale a causa dell’insufficienza della protezione offerta alle persone[5] ripropongono l’importanza che può assumere la Convenzione 108+, essendo questa pienamente coerente con il quadro di protezione dei dati dell’UE e potendo contribuire efficacemente alla convergenza verso una serie di elevati standard di protezione dei dati a livello globale.
La Convenzione può fungere da “ponte” per facilitare i flussi di dati verso destinazioni sicure. Basti pensare che il considerando 105 del Gdpr prevede che l’adesione alla Convenzione 108 di un Paese terzo è un elemento che dovrebbe essere considerato dalla Commissione nella valutazione dell’adeguatezza di tale paese terzo.
Il Club Convention 108+
Appartenere a quello che è stato definito il “Club Convention 108+” implica il riconoscimento di una best pratice internazionale e apre opportunità per un’ulteriore e rafforzata cooperazione sia attraverso indagini congiunte sia tramite coordinate azioni normative, per le quali la Convenzione fornisce anche la base giuridica a livello internazionale, che è un’altra caratteristica unica della Convenzione.
Per raggiungere l’obiettivo dell’entrata in vigore della Convenzione 108+, devono essere però almeno 38 Paesi a ratificarla e questo va fatto entro l’11 Ottobre 2023 il che consentirebbe di avere uno strumento unico e giuridicamente vincolante aggiornato a livello internazionale per garantire la protezione dei dati personali. Ad oggi si sono avuti 15 protocolli di ratifica e 28 firme non ancora seguite da ratifica[6] ed è pertanto necessario accelerare affinché in tutti i restanti Stati si attivi il processo di ratifica.
Conclusioni
La Convenzione 108+ è unica e rappresenta uno strumento giuridicamente vincolante, equilibrato e protettivo, a disposizione di qualsiasi Paese, che crea uno spazio giuridico comune e globale per la privacy e la protezione dei dati, strumento ancor più utile ora in considerazione dell’attuale crisi dovuta alla pandemia che richiede sia di mantenere, promuovere e rafforzare il rispetto dei diritti delle persone ma anche di facilitare il libero flusso delle informazioni tra le diverse aree del mondo.
- https://www.coe.int/en/web/conventions/full-list/-/conventions/treaty/108 ↑
- Il CoE conta oggi 47 stati membri e la sua sede istituzionale è in Francia a Strasburgo ↑
- Qui il dettaglio: https://www.coe.int/en/web/conventions/full-list?module=signatures-by-treaty&treatynum=108 ↑
- Il testo del Protocollo emendativo e il testo consolidato della Convenzione 108+ sono disponibilii, rispettivamente su: https://rm.coe.int/16808ac918 e https://search.coe.int/cm/Pages/result_details.aspx?ObjectId=09000016807c65bf ↑
- sentenza della Corte di giustizia nella causa C-362/14, Maximillian Schrems contro Data Protection Commissioner;sentenza nella causa C-311/18 Data Protection Commissioner/Maximilian Schrems e Facebook Ireland ↑
- https://www.coe.int/en/web/conventions/full-list?module=signatures-by-treaty&treatynum=223 ↑
